博客 > 浅谈SSL证书和支付卡行业（PCI）合规性

浅谈SSL证书和支付卡行业（PCI）合规性

标签：
SSL证书
PCI合规性
支付卡行业

浏览量：5171次评论：0次

作者：Claire时间：2019-09-06 01:06:59

恰当使用SSL证书只是支付卡行业（PCI）众多要求中的一个，但是却是十分重要的一个。其他的要求则包括安全评估和授权扫描服务商（ASV）扫描，同时取决于你的公司所进行的信用卡交易的次数。数据在网络服务器之间来回传输时，SSL证书允许你对它们进行保护。如果你不能恰当地建立你的网络服务器来使用SSL证书，你就不能满足PCI标准，而要想在你的网站上接受信用卡，这个标准是必需的。我们在之前讨论过，尽管PCI标准在保护消费者信息和身份方面并不十分理想，但是它们能够使信用卡交易变得更安全。

VeriSign的Tim Callan近来进行了一次有关SSL证书和PCI合规性的信息网络直播。在此次网络直播中，他提到了以下几点：

• PCI要求在传输数据时，对信用卡文件夹信息进行适当的加密

• 至少使用128位的加密

• 网络钓鱼是电子商务中一个日趋严重的问题

• 建议使用服务器网关加密（SGC）证书，因此其他潜在的0.3%的访问者（使用诸如Internet Explorer 5等的老的浏览器）就能访问你的网站。但是，我们一般不建议使用SGC证书，因为它鼓励人们使用老的、拥有大量其他安全问题的浏览器。负责任的做法是使用一个常规的SSL证书（相比SGC证书花费更少），并要求在网络服务器上进行128位的加密。同时，鼓励那0.3%使用了易受到攻击的网络浏览器的访问者对其浏览器进行更新，因此他们便能够避免其他的安全问题。

• 你需要确保设置了服务器，因此并没有使用弱的加密比率（40位，50位）。

• PCI标准中对EV证书并没有特别要求，但是它们能够帮助制止网络钓鱼，并增加你的产品的购买人数。

PCI标准明确规定了以下关于SSL的内容：

在通过开放的、公有的网络进行数据传输的过程中，使用诸如SSL/TLS或Internet 协议安全性（IPSEC）等的强加密和安全协议来保护敏感的持卡人。

验证加密使用（比如SSL/TLS或IPSEC），无论持卡人的数据是在哪里经由开放的、公有的网络传输的

• 验证在数据传输时使用了强加密

• 对于SSL执行：

—验证服务器支持最新的补丁版。

—验证HTTPS看起来像是浏览器通用记录定位器（URL）的一部分。

—验证当HTTPS没有在URL中进行显示时，对持卡人的数据没有要求。

• 接收到交易时，选择一个交易样本，并在交易开始验证持卡人的数据在传输时进行了加密的过程中，观察不同交易。

• 验证只接受可信的SSL/TLS密钥和证书。

• 验证加密强度适当。

上一篇：无法实现FTP连接：控制通道上需要FTP 550 SSL/TLS
下一篇：六招让您的Wordpress网站远离威胁

我的评论

还未登录？点击登录

锐安信 SSL证书

为中小微企业定制的口粮型SSL证书

价格：180元起/年

SSL证书品牌

SSL证书品类

热门工具

CSR生成 CSR Decode DNS解析验证 SSL证书格式转化 SSL证书链修复 SSL证书检测 SSL证书签发日志查询

标签选择

行业动态

数字证书

解决方案

阅读排行

1一文搞懂域名与URL的区别 2什么是国密算法？国密算法有哪些？ 3【壹周快报】金融监管总局：加强网络安全和数据安全风险监管；史上最大数据泄露事件，260亿条数据被泄露 4史上最大数据泄露事件，260亿条数据被泄露 5二级等保需要什么样的SSL证书？ 6.info域名是什么？为什么选择.info域名？ 7SSL证书验证失败怎么办？常见SSL证书验证失败原因及解决办法 8《工业控制系统网络安全防护指南》发布，SSL证书助力工业控制系统网络安全 9【壹周快报】《工业领域数据安全能力提升实施方案（2024-2026年）》发布；多家知名品牌子域名被劫持，用于诈骗邮件活动 10.CC域名是什么？为什么选择.CC域名？